Questari 隱私權政策
最後更新：2026-09-02 適用版本：V1（v0.1.0，app 版本 1.1.0）
摘要（先講結論）
Questari 是給國小學生的練習遊戲，目前涵蓋數學、國語文、英語、自然與社會五科。
- 我們不收集孩子的姓名、生日、照片、聲音、位置、聯絡資訊。 一項都沒有。
- 我們沒有任何廣告，也沒有任何分析或追蹤 SDK。
- 我們不販售資料，也不把資料用於廣告或追蹤。 但為了讓「付款」與「登入」 能運作，有三個服務會收到必要的最少資料（購買處理、Apple 登入、Google 登入）， 明細見 §6。
- 在家長綁定 Email 之前，孩子的進度與答題紀錄不會上傳，只寫在這台裝置上。
- 綁定並點過確認信之後才開始同步。那時上傳的是遊戲進度與答題紀錄，內容見 §3。
- app 需要連網才能取得題目。取題時伺服器會知道是哪一台裝置在要， 但我們不記錄誰讀了哪一章——後端沒有任何一張表存放這件事。
1. 誰是資料控制者
GCDM Limited（以下稱「我們」）。聯絡方式：support@mivoo.ai。
2. 我們不收集什麼
為了避免誤解，先列出我們沒有收集的項目：
| 項目 | 是否收集 |
|---|---|
| 姓名、暱稱以外的稱呼 | ❌ 不收集 |
| 電子郵件（未登入時） | ❌ 不收集 |
| 出生日期、年齡 | ❌ 不收集（我們只知道孩子選了哪個「年級」，那是課程難度設定，不是年齡宣告） |
| 照片、影片、錄音 | ❌ 不收集 |
| 位置資訊（GPS 或 IP 定位） | ❌ 不收集 |
| 通訊錄、通話紀錄、簡訊 | ❌ 不收集 |
| 廣告識別碼（IDFA / GAID） | ❌ 不收集 |
| 裝置識別碼 | ❌ 不收集 |
| 瀏覽紀錄、其他 app 的使用情形 | ❌ 不收集 |
我們也沒有在 app 裡放入任何第三方廣告網路、分析工具或崩潰回報 SDK。
3. 我們收集什麼
3.1 學習與遊戲資料
| 資料 | 具體內容 | 為什麼要 |
|---|---|---|
| 遊戲進度 | 目前科目與年級、已通關章節、金幣、道具數量 | 讓孩子下次打開時能接著玩 |
| 收集資產 | 擁有的寵物（物種、等級、經驗、暱稱）、出戰隊伍、圖鑑收錄狀態 | 同上 |
| 答題紀錄 | 每一題的作答時刻（UTC）、科目、年級、章節、題號、課綱編碼、答對或答錯、選了第幾個選項、從題目出現到選定的毫秒數 | 產生家長端的成長表：課綱覆蓋進度、掌握度、錯題本、學習曲線 |
| 學習時段 | 每次開啟練習的起訖時間 | 計算連續學習天數與每週學習時間 |
| 里程碑 | 達成的徽章與時間 | 冒險者手冊的成就紀錄 |
「從題目出現到選定的毫秒數」為什麼要收：它用來判斷「這題是不是沒看清楚就按了」， 好在講解時先問「你是怎麼想的」而不是直接說錯。它不用於任何形式的側寫或廣告。
3.2 家長 PIN
家長中心的 6 位數 PIN 存放在裝置的安全儲存區（iOS Keychain／Android Keystore）。 PIN 不會離開裝置，也不會上傳。 我們無法讀取它，也無法幫忙找回—— 忘記時唯一的做法是清除這台裝置上的資料（見 §7）。
3.3 帳號（僅在家長主動建立時）
若家長選擇綁定 Email 以啟用跨裝置同步，我們會收到那個電子郵件位址， 以及系統為該帳號產生的使用者識別碼。不綁定也能完整使用 app 的所有功能， 只是進度不會同步到其他裝置、換手機也拿不回來。
可用的綁定與登入方式有三種：Sign in with Apple、使用 Google 帳號、 以及電子郵件驗證碼。用 Apple 或 Google 登入時，我們從該服務收到的是 它給的使用者識別碼與電子郵件位址（若你選擇 Apple 的「隱藏我的電子郵件」， 我們收到的是 Apple 代轉的匿名轉寄地址，看不到你真正的信箱）。 我們不會收到你的 Apple ID 或 Google 帳號密碼，也拿不到通訊錄、 生日、大頭照或其他個人資料。
上傳從什麼時候開始：寄出確認信還不算——在你點下信裡的連結之前， 帳號的能力與未綁定時相同，進度與答題紀錄仍然只在這台裝置上。 點過確認之後才開始同步。家長中心的「資料與隱私」會顯示目前處於哪一種狀態。
3.4 購買與訂閱
若家長在家長中心購買內容包或訂閱全站通行證，處理流程如下：
| 項目 | 說明 |
|---|---|
| 誰處理付款 | Apple App Store 或 Google Play。我們看不到也不儲存信用卡號、 |
帳單地址或任何付款工具資訊 |
| 我們儲存什麼 | 你買到的權益（哪一個內容包或訂閱、授予時間、訂閱到期時間）、 |
以及商店給的交易識別碼。用途是解鎖你已付款的內容、以及在你換裝置時還原權益 |
| 誰協助處理 | RevenueCat（見 §6）。它代我們與兩家商店對帳， |
收到的是你的使用者識別碼與購買事件 |
| 為什麼要儲存 | 沒有這筆記錄就無法判斷誰買了什麼，已付款的內容會鎖著打不開 |
購買必須先綁定帳號。 未綁定時購買入口不會出現——買在未綁定的臨時身分上， 換手機或重新安裝就拿不回來，那等於白花錢。
4. 資料存在哪裡
- 未登入時：全部存在這台裝置上（app 的私有儲存區）。
- 登入並開啟同步時：遊戲進度與答題紀錄會存放在我們的後端服務 Supabase（PostgreSQL），機房位於日本東京（Northeast Asia / Tokyo）。
資料存放在日本而不是台灣，是因為 Supabase 目前沒有台灣機房，東京是延遲 最低的選項。日本受《個人情報保護法》規範，並經歐盟認定具備適足的資料保護 水準（GDPR 第 45 條適足性決定），因此資料傳輸至日本不需要額外的移轉機制。
未綁定 Email 時，沒有任何進度或答題紀錄上傳到這個伺服器。 app 為了取題 需要連上它，那個連線帶著一個系統產生的匿名識別碼；除此之外不上傳任何東西， 我們也不記錄取題行為。綁定並確認之後，§3 列出的資料才開始同步。
後端以 Row Level Security 設定為「每位使用者只能讀寫自己的資料」， 並有對應的自動化測試（pgTAP）驗證這條規則。這條規則並經過注入驗證 ——故意破壞其中一條 policy，既有的 pgTAP 測試就會變紅——以確保這層防護是 驗證過的，而非只是寫在紙上。
5. 資料保留多久
| 資料 | 保留期 |
|---|---|
| 裝置上的遊戲進度與答題紀錄 | 直到孩子或家長清除，或刪除 app |
| 逐題答題日誌（雲端） | 帳號存續期間。刪除帳號時一併刪除 |
| 每週彙總（雲端） | 同上 |
| 帳號與所有相關資料 | 在 app 內按「刪除帳號」即時刪除；以信件提出請求則 30 天內完成 |
我們目前不會自動刪除舊的答題紀錄。 成長曲線要顯示長期趨勢， 需要那些紀錄；家長中心的錯題本也會回溯較早的題目。 若你希望刪除，目前的做法是刪除整個帳號（或清除本機資料）， 我們沒有提供「只刪除某一段時間的紀錄」的功能。
我們規劃在後續版本把 12 週以前的逐題明細壓縮成每週彙總， 以減少長期保留的資料量。該功能尚未實作，因此本政策不主張它已經生效—— 上線時本節會更新。
6. 誰會收到資料
沒有廣告網路、沒有分析或歸因服務、沒有資料仲介，我們也不販售資料。 以下是實際會收到資料的服務，全部是為了讓某個功能能運作，且只收到該功能 必需的最少資料。它們都以我們的委託處理資料，不得為自己的目的使用。
| 服務 | 何時會收到 | 收到什麼 | 為什麼必需 |
|---|---|---|---|
| Supabase（後端與資料庫） | 綁定帳號後 | §3 列出的遊戲進度與答題紀錄、 |
帳號識別碼、電子郵件位址 | 這是我們的資料庫與伺服器；沒有它就沒有跨裝置同步 |
| RevenueCat（購買對帳） | 只在你購買或按「恢復購買」時 | 你的使用者識別碼、 |
購買事件與商店交易識別碼。不含答題紀錄、不含孩子的學習資料 | 代我們與 Apple／ Google 對帳，判斷訂閱是否還有效、退款是否該收回權益 |
| Apple（Sign in with Apple） | 只在你選擇用 Apple 登入時 | 由 Apple 端發起， |
回傳給我們的是識別碼與（可能被 Apple 代轉的）電子郵件 | 提供登入方式 |
| Google（Google 登入） | 只在你選擇用 Google 登入時 | 同上 | 提供登入方式 |
| Apple App Store／Google Play | 只在你付款時 | 付款資訊由商店直接處理， |
我們收不到 | 平台規定的付款途徑 |
不綁定帳號、不購買，就只有取題會連網，其餘資料都留在這台裝置上。
法律要求時（例如司法機關的正式命令）我們可能必須揭露資料；若發生這種情況， 在法律允許的範圍內我們會通知受影響的使用者。
法律要求時（例如司法機關的正式命令）我們可能必須揭露資料；若發生這種情況， 在法律允許的範圍內我們會通知受影響的使用者。
6.1 朗讀功能與語音
App 有「朗讀題目」功能，用的是你裝置上的系統語音（iOS 的 AVSpeechSynthesizer／Android 的 TextToSpeech），不是我們的伺服器，也不是任何 第三方語音服務。題目文字送給系統語音引擎，在裝置上合成聲音。
我們只使用離線語音。 Android 上有些系統語音是雲端合成的——用那種語音會把 文字傳到該語音供應商的伺服器。為了不讓孩子的答題內容離開裝置，App 會自動排除 需要連網的語音；如果裝置上的中文語音全都需要連網，朗讀功能會停用，並在家長中心 說明如何安裝離線語音。
App 內的音效是隨安裝檔一起附帶的音訊檔，播放不涉及網路。
7. 怎麼刪除資料
7.1 清除這台裝置上的所有資料（現在就可以做）
家長中心（需要家長 PIN）→ 資料與隱私 → 清除本機所有資料。
這會刪除：孩子的進度、寵物、圖鑑、答題紀錄、家長 PIN。 這個動作無法復原，我們也沒有備份可以幫忙還原。
7.2 刪除帳號與雲端資料
家長中心（需要家長 PIN）→ 帳號 → 刪除帳號。
這會永久刪除該帳號與它在雲端的全部紀錄（存檔、逐題答題日誌、每週彙總、 里程碑），並同時清除這台裝置上的資料。這個動作無法復原。
「清除本機所有資料」與「刪除帳號」不一樣：前者只清這台裝置， 若你綁定過信箱，雲端那份還在、重新登入就拿得回來；後者連雲端一起刪。
若刪除過程中出現問題，或你想用其他方式提出刪除請求， 寄信到 support@mivoo.ai，我們會在 30 天內處理完成並回覆確認。
8. 兒童隱私
Questari 是專為兒童設計的 app，並依此接受更嚴格的規範 （Apple Kids Category、Google Play Families Policy）。
我們的做法是盡量不收集：不問姓名、不問年齡、不問任何聯絡方式， 不放廣告，不放追蹤工具。需要家長判斷的動作（購買、清除資料、設定） 都放在家長 PIN 之後。
若你是家長並認為我們仍然持有了不該持有的孩子資料， 寄信到 support@mivoo.ai，我們會刪除。
9. 你的權利
依適用之個人資料保護法規（含台灣《個人資料保護法》、歐盟 GDPR）， 你可以要求查詢、更正、複製或刪除你的資料，也可以撤回同意。 請寄信到 support@mivoo.ai。
10. 政策變更
本政策有實質變更時，我們會更新本頁的「最後更新」日期， 並在 app 內以顯著方式告知。若變更涉及新增的資料收集項目， 我們會在該項目開始收集之前告知。